Conformité AI Act et gouvernance des données à Toulouse

Qu'est-ce que l'AI Act, et mon entreprise est-elle concernée ?

L'AI Act est le règlement (UE) 2024/1689, premier cadre juridique complet au monde sur l'intelligence artificielle. Adopté le 13 juin 2024 et entré en vigueur le 1^er août 2024, il s'applique de manière progressive jusqu'en 2027. Il concerne toute organisation qui développe, fournit, distribue ou utilise un système d'IA dans l'Union européenne.

C'est ce dernier point que la plupart des dirigeants découvrent tard : une PME qui se contente d'utiliser un outil conçu par un tiers devient un déployeur au sens du règlement, avec des obligations propres. Vous n'avez pas besoin d'entraîner un modèle pour être concerné — il suffit que vos équipes utilisent un assistant conversationnel sur des dossiers clients.

Le règlement a par ailleurs une portée extraterritoriale : il s'applique dès qu'un système d'IA est utilisé sur le territoire de l'Union, quel que soit le lieu d'établissement du fournisseur ou du déployeur. Les groupes non européens ayant des clients, des filiales ou des fournisseurs en Europe entrent dans son champ.

Quelle est l'obligation de formation prévue à l'article 4 ?

L'article 4 impose aux fournisseurs et aux déployeurs de systèmes d'IA de veiller à ce que leurs personnels disposent d'un niveau suffisant de maîtrise de l'IA. Cette obligation est applicable depuis le 2 février 2025 et, contrairement à la plupart des dispositions du règlement, elle ne comporte aucun seuil d'effectif : elle vise l'entreprise de trois personnes comme le groupe de trois mille.

C'est l'obligation la plus largement ignorée, et la plus simple à satisfaire. Elle ne demande pas de faire de vos équipes des experts techniques, mais des utilisateurs lucides : savoir ce qu'un modèle fait et ne fait pas, reconnaître une réponse inventée, et savoir quelles données ne doivent jamais y être saisies.

Le contexte explique l'urgence. Selon Bpifrance Le Lab, 55 % des TPE-PME françaises utilisaient l'IA générative fin 2025, contre 31 % un an plus tôt. Ces usages se sont installés service par service, souvent sans que la direction en ait connaissance — c'est précisément la situation que l'article 4 vient encadrer.

Comment classe-t-on un système d'IA par niveau de risque ?

Le règlement raisonne par usage, pas par technologie. Le même modèle de langage peut relever de deux catégories différentes selon ce qu'on lui fait faire. Quatre niveaux structurent l'analyse :

• Risque inacceptable — pratiques interdites : notation sociale, exploitation des vulnérabilités, certaines formes de reconnaissance des émotions au travail.
• Haut risque — notamment le tri de candidatures, l'évaluation des salariés, l'accès au crédit ou aux services essentiels. Obligations lourdes : documentation technique, supervision humaine, gestion de la qualité des données.
• Risque limité — obligations de transparence : informer l'utilisateur qu'il parle à une machine, signaler les contenus générés.
• Risque minimal — l'essentiel des usages internes de productivité, sans obligation spécifique au-delà de l'article 4.

L'enjeu du cadrage est donc autant de délimiter ce qui ne vous concerne pas que d'identifier ce qui vous engage. Beaucoup d'entreprises se croient soumises à des obligations de haut risque alors que leurs usages relèvent du risque minimal — et l'inverse arrive aussi, généralement du côté des RH.

Pourquoi la gouvernance des données est inséparable de l'AI Act ?

Dès qu'un système d'IA touche une donnée personnelle — un CV, un dossier client, un enregistrement d'appel — l'AI Act et le RGPD s'appliquent ensemble. Les traiter dans deux chantiers séparés revient à payer deux fois le même travail d'inventaire.

La gouvernance des données répond aux questions que la conformité seule laisse ouvertes : où sont vos données, qui y accède, sont-elles exactes et à jour, quelles sortent de l'entreprise quand vos équipes utilisent un outil en ligne. C'est aussi ce qui détermine si un projet d'IA a une chance de fonctionner : des données dispersées, dupliquées ou obsolètes ne produiront jamais un résultat fiable, quel que soit le modèle.

Quelles sont les sanctions prévues ?

Le règlement prévoit trois plafonds : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour le non-respect des autres obligations, et jusqu'à 7,5 millions ou 1 % en cas d'informations inexactes fournies aux autorités. Pour les PME et les startups, c'est le montant le plus faible des deux qui s'applique.

Dans les faits, le risque immédiat pour une TPE ou une PME n'est pas l'amende : c'est la fuite de données par un usage non encadré, et la perte d'un appel d'offres où la conformité est devenue une pièce du dossier. C'est cette seconde raison qui motive la plupart des demandes que je reçois.

Combien coûte une mise en conformité, et combien de temps ?

Le premier échange est gratuit et sans engagement. Le cadrage complet représente ensuite généralement 2 à 4 jours d'intervention pour une TPE ou une PME — inventaire, classification, charte, registre et plan d'action — répartis sur trois à cinq semaines pour laisser le temps aux entretiens internes. Le devis est forfaitaire, établi après le premier échange.

Le volet formation se traite à part et se finance différemment : il est éligible à la prise en charge OPCO, dans un cadre certifié Qualiopi via mon partenaire de formation AS'COM. Pour beaucoup de structures, cela réduit sensiblement le coût net de cette partie.

Pour qui est cet accompagnement — et pour qui ne l'est-il pas ?

Il s'adresse aux TPE, PME et ETI qui utilisent déjà l'IA sans cadre formalisé, aux directions qui doivent répondre à une clause de conformité dans un appel d'offres, et aux DSI ou DRH qui veulent encadrer des usages déjà installés. Basé à Toulouse, j'interviens en Occitanie et partout en France, sur place ou à distance.

Il n'est pas adapté si vous cherchez une certification ISO 42001 — ce n'est pas mon métier et des organismes accrédités le font mieux — ni si votre besoin porte d'abord sur le choix des cas d'usage, ce que couvre le diagnostic et audit IA, ou sur la montée en compétence des équipes, traitée par la formation IA en entreprise.

Pourquoi un consultant indépendant plutôt qu'un cabinet d'avocats ?

La phase de cadrage n'est pas d'abord un travail juridique : c'est un travail d'inventaire technique et d'organisation. Il faut savoir reconnaître un usage de RAG derrière un outil vendu comme une « recherche intelligente », comprendre ce qu'un connecteur envoie réellement à un fournisseur, et estimer ce qu'une équipe acceptera d'appliquer au quotidien. C'est un métier de terrain.

Je le fais en cabinet indépendant : aucune revente de licence, aucune commission éditeur, donc aucun intérêt à conclure que vous avez besoin d'un outil de plus. L'avocat reste utile — pour la rédaction contractuelle avec vos fournisseurs et pour les systèmes classés à haut risque — et je travaille volontiers en complément du vôtre. Sur le versant technique, les architectures que j'audite sont celles que je déploie moi-même, détaillées sur la page architecture & solutions IA sur mesure.